주요 직무자 지정 및 관리

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의3)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [2.2.1 주요 직무자 지정 및 관리]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

개인정보 및 중요정보의 취급, 주요 시스템 접근 등 주요 직무의 기준을 명확히 정의하여야 한다.

※ 주요 직무의 기준(예시)

• 중요정보(개인정보, 인사정보, 영업비밀, 산업기밀, 재무정보 등) 취급
• 중요 정보시스템(서버, 데이터베이스, 응용프로그램 등) 및 개인정보처리시스템 운영/관리
• 정보보호 및 개인정보보호 관리 업무 수행
• 보안시스템 운영 등

주요 직무를 수행하는 임직원 및 외부자를 주요 직무자로 지정하고 그 목록을 최신으로 관리하여야 한다.

• 주요 직무자 현황을 파악하여 주요 직무자로 공식 지정
• 지정된 주요 직무자에 대하여 목록으로 관리
• 주요 직무자의 신규 지정 및 변경, 해제 시 목록 업데이트
• 정기적으로 주요 직무자 지정 현황 및 적정성을 검토하여 목록 최신화

업무상 개인정보를 취급하는 자를 개인정보취급자로 지정하고 목록을 최신으로 관리하여야 한다.

• 업무상 개인정보를 처리하는 개인정보취급자에 대해서는 목록으로 관리
• 개인정보취급자 목록에는 개인정보 처리업무에 대한 위탁을 받은 수탁자의 개인정보취급자도 포함(다만 수탁자의 개인정보취급자 중 개인정보처리시스템에 접근권한이 없는 개인정보취급자에 대한 목록관리는 수탁자 자체적으로 관리 가능)
• 정기적으로 개인정보취급자 지정 현황 및 적정성을 검토하여 목록 최신화

※ 개인정보취급자의 정의

• 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘/감독을 받아 개인정보를 처리하는 자

업무 필요성에 따라 주요 직무자 및 개인정보취급자 지정을 최소화하는 등 관리방안을 수립/이행하여야 한다.

• 업무상 반드시 필요한 경우에 한하여 주요 직무자 및 개인정보취급자로 지정
• 주요 직무자 및 개인정보취급자 권한 신청 및 부여에 대한 승인 절차 마련
• 주요 직무자 및 개인정보취급자에 대한 관리 및 통제방안 수립/이행(교육, 모니터링 등)